DMZ-хост на роутері чи приватний доступ: що підходить для Mac?

Налаштування DMZ-хоста на домашньому роутері звучить як зона безпеки, а поводиться як пересилання всього. Усе, що надходить з інтернету і не збіглося з жодним іншим правилом, надсилається на вибрану адресу LAN. Це найкоротший шлях змусити вхідну службу працювати, а не проєкт приватного доступу до одного Mac. Порівняйте його з вузьким правилом або приватним шляхом, перш ніж увімкнути.

Що насправді робить налаштування DMZ

У більшості споживчих прошивок ця мітка означає рівно одне: незіставлений вхідний трафік пересилається на призначений хост. Вона не створює окрему підмережу, зону брандмауера чи межу ізоляції. Вибраний комп’ютер отримує все, з чим роутер не знав, що робити.

Тому налаштування таке ефективне у виправленні зламаної служби і таке слабке в обмеженні того, що ще надходить. Роутер робить те, що йому сказали, широко. Ніщо в прошивці не відділяє запит, який ви хотіли, від того, якого не хотіли.

Три ролі Mac, три вхідні двері

Перелічіть, що Mac насправді робить, перш ніж щось відкривати. Клієнту, який дзвонить назовні, вхідне правило взагалі не потрібне. Серверу потрібні власний слухач, власна автентифікація і вузький транспорт. Цілі спільного доступу до екрана потрібен приватний шлях і список дозволених користувачів служби. Це три різні проєкти, і налаштування DMZ не пасує добре до жодного з них.

sudo lsof -nP -iTCP -sTCP:LISTEN

Запустіть це на Mac і прочитайте список. Якщо нічого не слухає, жодне вхідне правило не змусить службу з’явитися.

Порівнюйте вразливість, а не зручність

Пересилання всього розширює поверхню атаки до кожного порту, який відкриває Mac, включно зі службами, про ввімкнення яких ви забули. Вузьке пересилання відкриває один порт в інтернет і все одно потребує власної автентифікації застосунку. Приватний шлях нічого не відкриває публічно, але вимагає тунелю до доступу.

Зручність тут не вирішальна, бо зручний варіант — це і той, який відкрито відмовляє. Якщо Mac підключається лише назовні, правильна кількість вхідних отворів — нуль, і це речення варто прочитати двічі перед відкриттям порту. Вибрати інакше означає прийняти вразливість, яка вам не потрібна. Запишіть цю вразливість, і вибір зазвичай вирішується сам.

Замініть пересилання всього без простою

Заміна пересилання всього — це вправа з інвентаризації, перш ніж це зміна брандмауера. З’ясуйте, яка законна служба зараз залежить від широкого правила, і підтвердьте, що заміна працює для кожної. Потім видаліть запис DMZ і додайте лише вузьке правило або приватний доступ, якого вимагає проєкт. Залишати обидва входи відкритими під час переходу — так тимчасовий обхід стає постійним.

Тримайте брандмауер хоста й власну автентифікацію служби на місці незалежно від шляху. Тунель захищає транспорт, а не публічний слухач, який випадково опинився на тій самій машині. Обслуговування й оновлення досі вирішують, чи служба безпечна, і оновлення прошивки може тихо змінити те, що пропускає широке правило. Документація виробника для функції DMZ-хост каже те саме про вразливість, меншою кількістю слів.